API接口加密保护数据在传输和存储过程中的机密性。HTTPS解决了传输加密问题，但对敏感数据的端到端加密仍然需要额外的加密方案。本文介绍API接口加密的多个层次和适用场景。
传输加密与端到端加密
HTTPS是传输加密的基础，加密客户端到服务端之间的通信。但对于中间件转发的场景（如API网关），HTTPS在网关处解密后再加密转发，网关能看到明文数据。端到端加密保证数据从客户端生成到服务端落库全程加密，中间节点无法解密。实现方式：客户端用服务端的公钥加密数据，服务端用私钥解密。适合金融、医疗等强合规场景。
请求响应加密
请求加密：客户端用约定密钥对请求体进行加密，服务端解密后处理。响应加密：服务端用同样方式加密响应体。加密算法使用AES-256对称加密，密钥通过非对称加密（RSA/ECC）交换。每次请求使用随机生成的对称密钥（会话密钥），用服务端公钥加密会话密钥后一同传输。这种方式结合了对称加密的速度和非对称加密的安全性。
字段级加密
不是所有数据都需要加密，只对敏感字段进行加密可以减少性能开销。敏感字段包括：身份证号、手机号、银行卡号、密码、Token等。字段加密后存储为密文，查询时解密。对于检索场景，可以对身份证号等字段进行可逆加密后存储摘要，支持精确匹配查询。模糊查询需要用特殊方案，如将身份证号分段加密后建立索引。字段加密是数据保护的最后一公里。
国密算法应用
国内金融和政府项目要求使用国密算法。SM2（非对称加密）替代RSA，SM4（对称加密）替代AES，SM3（哈希）替代SHA-256。国密算法的实现库包括Bouncy Castle、GmSSL和各个云厂商的KMS。使用国密算法时注意合规要求：密钥长度、算法模式、填充方式都要符合标准。国密SSL证书也需要从国密CA申请。非国密项目继续使用国际算法即可。